Los servidores Linux y los sistemas de virtualización están siendo cada vez más objetivo de ciberdelincuentes, según informes recientes. Aunque las estaciones de trabajo de Windows y los servidores de Active Directory han sido tradicionalmente los principales blancos, la evolución de las tácticas de ataque ha llevado a una mayor atención hacia otros entornos operativos.
Según un análisis realizado por Trend Micro, el número de detecciones de ransomware en servidores Linux aumentó un 75% durante el último año. Esta tendencia refleja la expansión de los ataques más allá del sistema operativo Windows, ya que los ciberdelincuentes buscan nuevas oportunidades para extorsionar a las organizaciones.
Además, se ha observado un incremento del 145% en los ataques basados en malware de minería de criptomonedas que utilizan sistemas Linux. Estos atacantes aprovechan secretamente el poder computacional de las máquinas infectadas para minar criptomonedas sin el conocimiento de sus usuarios.
La popularidad del código abierto y la virtualización ha contribuido a esta situación, ya que cada vez hay más servidores que ejecutan Linux o sistemas como VMware ESXi. Estos suelen almacenar información crítica que puede ser cifrada para paralizar las operaciones de una empresa.
Ataques conocidos contra Linux y ESXi
- En febrero del 2023, se registró un brote de ransomware ESXiArgs que aprovechó la vulnerabilidad CVE-2021-21974 para deshabilitar máquinas virtuales y cifrar archivos como .vmxf, .vmx, .vmdk, .vmsd y .nvram.
- El grupo Clop fue detectado en diciembre del 2022 utilizando una versión limitada de su ransomware para Linux. Esta versión se adapta a los permisos y tipos de usuarios de Linux, pero carece de algunas optimizaciones presentes en la versión Windows.
- Una nueva versión del ransomware BlackBasta está diseñada específicamente para ataques a hipervisores ESXi. Utiliza el algoritmo ChaCha20 en modo de múltiples subprocesos, lo que minimiza el tiempo necesario para cifrar todo el entorno.
- El grupo Conti también se armó con un ransomware orientado a ESXi antes de su desintegración. Gran parte del código de este grupo ha sido filtrado y ahora está en manos de ciberdelincuentes.
- El ransomware BlackCat, escrito en Rust, puede deshabilitar y eliminar máquinas virtuales ESXi. Su código difiere ligeramente de la versión Windows.
- El ransomware Luna, detectado en 2022, era multiplataforma y podía ejecutarse en sistemas Windows, Linux y ESXi. El grupo LockBit también comenzó a ofrecer versiones para ESXi de su malware a sus afiliados.
- Las campañas RansomEXX y QNAPCrypt afectaron significativamente a los servidores Linux, incluso antes de la tendencia actual hacia estos entornos.
Tácticas de ataque contra el servidor
Para penetrar en servidores Linux, los atacantes suelen explotar vulnerabilidades. Estas pueden estar presentes en componentes de código abierto, servidores web, aplicaciones básicas o sistemas de virtualización.
Como demostró Log4Shell el año pasado, las vulnerabilidades en componentes de código abierto requieren una atención especial. Después de una infracción inicial, muchas cepas del ransomware utilizan trucos o vulnerabilidades adicionales para elevar los privilegios y cifrar el sistema.